Auftragsverarbeitung nach Art. 28 DSGVO
Vorschau: Die Liste der Unterauftragsverarbeiter beschreibt den geplanten Betrieb und wird vor dem Start mit den tatsächlich eingesetzten Anbietern bestätigt.
Wenn Sie Stemvo einsetzen, verarbeiten wir die Daten Ihrer Anrufer in Ihrem Auftrag. Dafür schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) nach Art. 28 DSGVO. Er ist Bestandteil der AGB und wird bei der Registrierung abgeschlossen; eine unterschriebene Fassung senden wir auf Anfrage an hello@stemvo.eu.
Was der AV-Vertrag regelt
- Gegenstand und Dauer: Betrieb des KI-Telefonassistenten für die Laufzeit des Nutzungsvertrags.
- Art der Daten: Rufnummern, Zeitpunkt und Dauer von Anrufen, Transkripte, Zusammenfassungen, im Gespräch genannte Angaben, optional Tonaufnahmen.
- Betroffene: Anrufer, Kunden und Interessenten des Auftraggebers sowie dessen Beschäftigte, die den Dienst nutzen.
- Weisungsgebundenheit: Wir verarbeiten Daten nur auf dokumentierte Weisung des Auftraggebers.
- Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet; auf Wunsch zusätzlich nach § 203 Abs. 4 StGB und § 43e BRAO.
- Unterstützung: bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Meldung von Datenschutzverletzungen (Meldung an den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis).
- Löschung: nach der vom Auftraggeber eingestellten Speicherdauer und bei Vertragsende; Export vorher möglich.
- Kontrollrechte: Nachweise und Audits nach Art. 28 Abs. 3 lit. h DSGVO.
Technische und organisatorische Maßnahmen (Auszug)
- Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung
- Speicherung und Verarbeitung in Rechenzentren in der Europäischen Union
- Rollenbasierte Zugriffsrechte, Zwei-Faktor-Anmeldung für Kundenkonten und Administratoren
- Trennung der Daten verschiedener Kunden (Mandantentrennung)
- Automatische Löschung nach eingestellter Speicherdauer
- Protokollierung administrativer Zugriffe, regelmäßige Datensicherung und Wiederherstellungstests
Unterauftragsverarbeiter
| Leistung | Anbieter | Verarbeitungsort |
|---|---|---|
| Telefonie (Anrufannahme, Rufnummern) | [Telefonie-Anbieter] | EU |
| Spracherkennung | [Anbieter Spracherkennung] | EU |
| Sprachmodell | [Anbieter Sprachmodell] | EU-Region |
| Sprachausgabe | [Anbieter Sprachausgabe] | EU |
| Hosting, Datenbank, Speicherung | [Hosting-Anbieter, Sitz, Serverstandort] | EU |
Über neue oder geänderte Unterauftragsverarbeiter informieren wir mindestens 30 Tage vorher. Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen.
Hinweise für Ihre eigene Dokumentation
- Eintrag im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) für die Anrufannahme
- Abschnitt in Ihrer Datenschutzerklärung zu Anrufen, Transkripten und gegebenenfalls Aufnahmen
- Bei besonderen Kategorien von Daten (etwa Gesundheitsdaten in Arztpraxen) Prüfung, ob eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erforderlich ist